2.2.2 网络空间信息系统安全工程（中）在线视频

同学们，大家好

这一讲我们来讨论

《网络空间安全技术》

第一篇网络空间安全技术体系基础

第2章网络空间安全攻防对抗体系当中

第二点网络空间信息系统安全工程

第三个知识小点

系统安全工程能力成熟度模型

在这一点里面

我们分三个知识小点

来向大家讲述

首先是系统安全工程能力成熟度模型

也就是SSE-CMM的概念及作用

第二个是讲它的体系结构

第三点是讲授SSE-CMM的应用

及我国的改进

首先我们来看它的概念与作用

安全工程能力成熟度模型

英文缩写为SSE-CMM

顾名思义

它源自CMM模型

它是卡耐基梅隆大学提出的

CMM模型

在系统安全工程领域的落地和具体化

它是一种过程参考模型

也是一种衡量SSE实施能力的方法

SSE-CMM的开发原因

安全工程领域有一些普遍接受的原则

但是缺乏评价安全工程管理的综合性框架

SSE-CMM提供了一个测量和改进

安全工程原则应用性能的方式

它描述安全工程过程的基本特性

它描述了一个组织当中

为确保优质安全工程

而必须具备的安全工程过程的基本特性

它还汇集了普遍遵循的实践

SSE-CMM并未规定具体的工程或相应的顺序

而是汇集了在行业当中普遍遵循的实践

我们也可以说是最佳实践

那么SSE-CMM

可以作为安全工程过程的标准衡量尺度

体现在以下几个方面

首先它涵盖了整个的生存周期

包括开发、运行、维护和退役等相关的活动

第二它涉及整个组织

包括管理类、组织类和工程类的相应活动

而且它与其它学科的并发

产生了交互作用

比如说系统、软硬件以及系统管理运维等

它们都要协同发挥作用

而且它还具有与其它组织的交互作用的功能

包括获取系统管理、认证、认可和评价等活动

接下来我们来学习

SSE-CMM的体系结构

这里面我们要讨论它的基本模型

它的能力等级与公共特征

还要讨论它的基本实践与通用实践

我们首先来看SSE-CMM的基本模型

这个基本模型

它要实现安全工程过程的基本特征

与其过程的管理和制度化特征的分离

SSE-CMM体系结构

将安全工程过程的基本特征

从其过程的管理和制度化特征当中

清晰地分离出来

从而用于确定安全工程组织的过程的成熟度

为了确保分离SSE-CMM体系结构

设计了域和能力两个维度

也就说域维和能力维

接下来我们看这两个维度

首先是域维，所谓域维

它是由共同定义安全工程的所有实践所构成

那么这些实践就被称为基本实践

接下来我们看一下能力维

能力维是由描述过程管理

和制度化能力的事件所构成

那么这些实践

与刚才我们讲的基本实践

相对这些实践称为通用实践

我们说SSE-CMM

它的基本模型体结构

我们以两-两-三-五-十六

这几个数字来简要的概括

那么第一个“两”

是指它的两个维度

也就是域维和能力维

接下来的“两”是指两类实践

也就是说基本实践体现在域维当中

和通用实践体现在能力维当中

那么“三”是指三个过程类

这个主要是体现在域维当中

包括工程过程类、项目过程类和组织过程类

工程过程中包括11个工程域

项目过程类包括五个过程域

而组织过程类包括六个过程域

“五”是指五个能力等级

也就是能力维的五个级别

“十六”是指十六个公共特性

体现在能力维当中

它是用来执行基本的实践和承诺实施等

接下来我们来讨论一下

能力等级与公共特征

SSE-CMM能力等级分为五级

第一级是基本执行级

第二级是计划跟踪级

第三级是充分定义级

第四级是量化控制级

第五级是持续改进级

SSE-CMM的能力等级越高

就表明它的成熟度越高

对应的相应的风险也就越低

能力等级1 基本执行级

它是执行基本实践

等级二是计划跟踪级

它用来承诺实施、计划执行

规范化执行

跟踪执行和验证执行

能力等级三实现的是充分定义

包括定义标准过程、裁剪标准过程

使用数据、执行已定义过程等等

能力等级四实现的是量化控制

要建立可测量的质量目标

确定实现目标的过程能力

客观管理执行

能力等级五指的是持续改进

包括建立质量过程、有效性目标

改进过程的有效性等内容

接下来我们来讨论一下

SSE-CMM的基本实践

这个SSE-CMM

包括129个基本事件

分布在22个过程域当中

那么一个基本实践是指什么

基本实践是适用于企业的生命周期

不和其它的基本实践重叠

代表安全界的一个最佳实践

它不是简单的反映最新技术水平

适用于在不同的业务背景当中

使用的不同方法来实施系统安全

同时我们要提醒大家注意的是

一个基本实践

它并不指定特定的方法或者是工具

那么刚才我们提到了过程的概念

那什么是过程

过程是指为了达到某一个目标

而执行了一系列的互动

这些活动可以重复、递归和并发的执行

过程域我们又称为PA

它是由一些基本的实践所组成

这些基本实践共同实施

以达到过程域的目的

为了便于使用

我们把相关的活动组合到同一个域当中

与有价值的安全工程服务相关

适用于企业的生命周期

能够在不同的组织和产品背景当中实施

能够作为一个独特的过程进行改进

能够由在该过程当中

具有相似利害关系的组进行改进

包含所有未满足该过程域的目标

所需求的基本实践

在SSE-CMM的22个过程域当中

含有11个系统安全工程过程域

5个项目过程域

和6个组织过程域

那么这11个系统安全工程过程域

包含了61个基本实践

具体由哪些系统安全工程过程域

首先第1个是管理安全控制

第2是评估影响

第3是评估安全风险

第4是评估威胁

第5评估脆弱性

第6建立保障论据

第7要协调安全

第8是监视安全态势

第9是提供安全输入

第10是确定安全需要

11是验证和确认安全

这个就是11个系统安全工程过程域的具体内容

接下来我们来看一个通用实践

也就是SSE-CMM的通用实践

一个通用实践也就是适用于所有过程的实践

它用于过程评估

也就是确定一个过程的能力

它可以按照公共特征和能力等级来进行分组

那么公共特征也就是通用实践的集合

而能力等级则是公共特征的集合

接下来我们来讨论一下

SSE-CMM的应用和在我国的改进

SSE-CMM的具体运用

是重点对安全可信产品

或安全系统的系统安全工程能力

进行评估的一种模型

它是以安全产品或者是信息系统的整个生命周期为主线

达到信息技术实现过程安全的目的

具体的评估过程

则需要综合域维和能力维这两方面来进行

接下来我们来看一下

我国开展的中国化的复合型的改进

我国在开展网络安全服务能力测评时

以安全服务组织的技术和管理能力为主线

增加了对组织基本资格

硬件实施环境

人员背景等因素的评估

实现了对组织的综合能力评估

我国利用SSE-CMM体系

开展网络安全服务能力认证多年

为国内网络安全服务组织的安全服务能力提升

提供了客观的评定依据

实现了对国内主流网络安全服务组织的基本覆盖

极大地促进了我国网络安全服务保障水平的提升

同学们

这一讲我们就讲到这里

感谢观看，再见